Alibaba

Pesquisadores de cibersegurança descobriram um conjunto de pacotes npm maliciosos que visam usuários das ferramentas de desenvolvimento da Alibaba, utilizando um trojan de acesso remoto (RAT) em um ataque sofisticado à cadeia de suprimentos de software. Um dos pacotes, ’lib-mtop’, foi publicado sem funcionalidade em novembro de 2023, mas versões subsequentes foram carregadas em março e abril de 2026, introduzindo um carregador que busca e executa um payload JavaScript remoto. O ataque utiliza pacotes que imitam pacotes privados da Alibaba para enganar os desenvolvedores, ativando a instalação de uma árvore de dependências que inclui o código malicioso. O carregador é dividido em vários pacotes, com um deles se conectando a um repositório do GitHub para baixar configurações e executar um payload malicioso. O impacto do ataque é significativo, com a capacidade de realizar espionagem industrial, e a origem parece ser de um ator de ameaças de língua chinesa. Os desenvolvedores que instalaram esses pacotes devem considerar suas credenciais comprometidas e auditar seus sistemas para atividades suspeitas.

Uma vulnerabilidade crítica foi descoberta na biblioteca XQUIC, utilizada pela Alibaba para QUIC e HTTP/3, que permite que qualquer cliente remoto derrube o servidor com um pequeno fluxo de tráfego QPACK legítimo. Nomeada XRING, a falha foi divulgada pelo pesquisador Sébastien Féry da FoxIO em 8 de julho de 2026 e não possui correção disponível até o momento. A vulnerabilidade afeta todas as versões do XQUIC até a v1.9.4 e não requer login ou pacotes malformados, bastando cerca de 260 bytes de tráfego normal para causar a queda do servidor. O problema reside na forma como o HTTP/3 comprime cabeçalhos, utilizando uma tabela dinâmica que, quando redimensionada, pode resultar em uma contagem incorreta de bytes, levando a uma cópia de memória que ultrapassa os limites. Isso pode causar falhas no processo do servidor, embora não tenha sido testado se essa corrupção pode ser explorada para execução de código. A FoxIO tentou contatar a Alibaba várias vezes sem resposta antes de tornar a falha pública. A situação é preocupante, especialmente considerando que a XQUIC é open-source, expondo outros servidores que a utilizam, como o Tengine, a riscos semelhantes.

A Alibaba anunciou a proibição do uso do Claude Code por seus funcionários, a partir de 10 de julho de 2026, classificando a ferramenta como de alto risco para a segurança organizacional. Essa decisão segue uma tendência observada entre gigantes da tecnologia dos EUA, que também têm banido ferramentas chinesas em suas operações internas. A proibição foi motivada por preocupações de segurança levantadas pela Anthropic, desenvolvedora do Claude Code, que identificou que a ferramenta continha códigos para rastrear usuários na China. Esses códigos incluíam verificações de fusos horários, servidores proxy e características de rede, o que levantou questões sobre privacidade e segurança. A Alibaba, por sua vez, incentivou seus funcionários a utilizarem seu assistente de IA interno, o Qoder, como alternativa. A situação é um reflexo das crescentes tensões geopolíticas entre os EUA e a China, onde empresas chinesas estão promovendo ferramentas de IA locais em resposta a essas preocupações. Embora a Alibaba e a Anthropic ainda não tenham comentado publicamente sobre a situação, o incidente destaca a complexidade da segurança cibernética em um ambiente de crescente rivalidade tecnológica.